Bezpečnostní certifikáty webu mají několik různých názvů a právě tady začíná většina zmatků. Bezpečnostní certifikát webu je totéž co certifikát SSL, certifikát TLS nebo věc, která dává zámek do adresního řádku prohlížeče. Různé pojmy, jedna a ta samá věc. Jakmile si to uvědomíte, všechno ostatní kolem bezpečnostních certifikátů webu se pochopí mnohem snáz.
Zámek v adresním řádku prohlížeče, HTTPS na začátku adresy webu, varování „Nezabezpečeno" na webech, které certifikát nemají: všechno se to vrací k jedné věci, bezpečnostnímu certifikátu webu. Úplné vysvětlení toho, jak to souvisí s širším tématem ochrany webu, najdete v článku proč je zabezpečení webu důležité.
Co je bezpečnostní certifikát webu?
Bezpečnostní certifikát webu je malý soubor nainstalovaný na webovém serveru, který dělá dvě věci. Zamíchá data posílaná mezi prohlížečem návštěvníka a vaším webem tak, aby je při přenosu nikdo jiný nemohl přečíst, a dokazuje, že váš web je tím, za koho se vydává. Když jsou obě tyto věci splněny, prohlížeč zobrazí v adresním řádku zámek a předponu HTTPS.
Co dělá jednoduše řečeno
- Když návštěvník vyplní kontaktní formulář, přihlásí se nebo zadá platební údaje, putují tyto informace z jeho prohlížeče na váš server. Bez certifikátu putují jako prostý text, který by mohl přečíst kdokoli ve stejné síti
- S certifikátem jsou tytéž informace zamíchané dřív, než prohlížeč opustí, a lze je rozluštit, až když dorazí na váš server. Nikdo mezi tím je nepřečte
- Certifikát také nese důkaz, že vaše doména patří vám, což prohlížeči říká, že komunikuje se skutečným webem, a ne s napodobeninou
Různé názvy, pod kterými je znám
- Certifikát SSL je nejběžnější pojem. SSL je zkratka pro Secure Sockets Layer, původní název technologie. Technicky ji nahradila novější verze zvaná TLS (Transport Layer Security), ale téměř všichni stále používají pojem SSL
- Certifikát TLS označuje totéž pod aktualizovaným názvem. Když někdo zmíní certifikát TLS, myslí tutéž věc jako certifikát SSL
- Certifikát HTTPS se používá neformálně, protože HTTPS je viditelné znamení, že certifikát funguje
- Bezpečnostní certifikát webu je srozumitelná verze používaná při vysvětlování někomu bez technického zázemí
- Všechny tyto názvy ukazují na totéž. Samotný certifikát se nemění podle toho, jak ho nazvete
Podrobnější pohled na to, jak certifikáty SSL fungují technicky, najdete v článku co je certifikát SSL a jak funguje.
Co bezpečnostní certifikát webu dokazuje
Vlastnictví domény
Základní bezpečnostní certifikát webu, zvaný certifikát s ověřením domény, dokazuje jedinou věc: že ten, kdo certifikát nainstaloval, ovládá doménu. Certifikační autorita (společnost, která certifikát vydává) před vydáním ověří, že doménu vlastníte. Zámek, který vidíte v adresním řádku prohlížeče, znamená, že toto ověření prošlo.
Je to typ certifikátu, který stačí pro naprostou většinu webů. Firemní weby, blogy, portfolia, weby služeb i e-shopy všechny používají certifikáty s ověřením domény. Získat ho je zdarma, na většině platforem trvá nastavení minuty a poskytuje stejnou úroveň ochrany dat jako dražší typy certifikátů.
Identita organizace
Certifikáty vyšší úrovně jdou dál. Certifikát s ověřením organizace nebo certifikát s rozšířeným ověřením vyžaduje, aby certifikační autorita ověřila právní identitu firmy za webem, ne jen to, že někdo ovládá doménu.
Banky, státní weby a velké finanční platformy je obvykle používají, protože jejich návštěvníci potřebují vidět ověřený důkaz, kdo web provozuje. Pro běžný firemní web certifikáty vyšší úrovně nejsou nutné. Šifrování je totožné. Jediný rozdíl je v tom, kolik informací o organizaci vydavatel ověřil.
Jak poznáte, že web má bezpečnostní certifikát
Zámek v adresním řádku
Každý hlavní prohlížeč zobrazuje v adresním řádku ikonu zámku, když má web nainstalovaný platný bezpečnostní certifikát. Kliknutí na zámek ukáže podrobnosti o certifikátu, včetně toho, kdo ho vydal a kdy vyprší. Žádný zámek znamená žádný platný certifikát.
HTTPS v adrese
Písmeno S v HTTPS znamená Secure, tedy zabezpečený. V adresním řádku se objeví jen tehdy, když je na místě platný certifikát a spojení mezi prohlížečem a serverem je šifrované. Web na adrese začínající prostým HTTP nemá aktivní certifikát, i kdyby byl někdy v minulosti nainstalován. Úplné vysvětlení toho, co HTTPS znamená a jak chrání návštěvníky, najdete v článku co je HTTPS a jak chrání váš web.
Co se děje na webech bez něj
- Prohlížeče zobrazují v adresním řádku varování „Nezabezpečeno" u každého webu poskytovaného přes prosté HTTP
- Na stránkách s přihlašovacími poli nebo formuláři zobrazují některé prohlížeče výraznější varování, že spojení není soukromé
- Návštěvníci, kteří tato varování vidí, zvlášť na stránce, která žádá o jejich údaje, mnohem méně pravděpodobně pokračují
- Vyhledávače používají HTTPS jako signál pro řazení. Web bez platného certifikátu je ve výsledcích vyhledávání v nevýhodě oproti rovnocenným webům, které certifikát mají
Proč každý web potřebuje bezpečnostní certifikát
Důvěra návštěvníků
Zámek se stal základním signálem, že je web bezpečný k používání. Návštěvníci, kteří nakupují online, vyplňují formuláře nebo se přihlašují do účtů, se naučili ho hledat. Web bez něj nevypadá jen méně bezpečně. Vypadá, jako by se o zabezpečení vůbec nestaral, a z tohoto dojmu se zotavit je těžší, než většina majitelů webů čeká.
U stránek s kontaktními formuláři, přihlášením do účtu nebo jakoukoli pokladnou je absence HTTPS přímým důvodem, proč se návštěvníci zastaví a odejdou. Certifikát nechrání jen data. Udrží lidi na stránce.
Pozice ve vyhledávání
Vyhledávače považují HTTPS za signál pro řazení. Stránky poskytované přes HTTPS mají výhodu před stránkami poskytovanými přes prosté HTTP, když je všechno ostatní stejné. U konkurenčních hledaných výrazů může tato výhoda skutečně změnit, kde se stránka zobrazí. Web bez certifikátu také nesplňuje standardy uživatelského zážitku ze stránky, které vyhledávače používají jako součást hodnocení pro řazení.
Ochrana dat
Každý web, který sbírá informace od návštěvníků, ať už přes kontaktní formulář, přihlašovací stránku nebo pokladnu, nakládá s osobními údaji. Bez certifikátu putují tato data sítí jako prostý text. Certifikát zajistí, že jsou zamíchaná dřív, než prohlížeč opustí, takže je nelze přečíst, pokud je někdo cestou zachytí.
V mnoha zemích vytváří sběr osobních údajů bez základních bezpečnostních opatření právní riziko pro majitele webu. Bezpečnostní certifikát webu je základním opatřením k ochraně dat při přenosu a ke splnění minimálního standardu, který od webů očekávají zákony o ochraně údajů.
Jak získat bezpečnostní certifikát webu
Přes poskytovatele hostingu
Mnoho spravovaných hostingových platforem a nástrojů pro tvorbu webů zahrnuje bezpečnostní certifikát webu do každého tarifu. Pokud tomu tak je, certifikát se obvykle nainstaluje automaticky při připojení webu nebo domény. Nic se nemusí kupovat ani samostatně nastavovat.
Pokud už web hostujete a nejste si jistí, zda certifikát máte, navštivte web a zkontrolujte, zda adresa začíná HTTPS a zda se zobrazuje zámek. Pokud ano, certifikát je už aktivní. Pokud ne, zkontrolujte administraci hostingu nebo kontaktujte poskytovatele a zjistěte, zda je certifikát zahrnut, nebo je třeba ho přidat.
Získání samostatně
Bezplatné bezpečnostní certifikáty webu nabízejí důvěryhodné certifikační autority pro weby na hostingu, který si spravujete sami. Ověření je automatizované a trvá minuty. Certifikát platí 90 dnů a lze ho nastavit tak, aby se obnovoval automaticky, takže nevyprší bez varování.
K dispozici jsou i placené certifikáty, které obvykle pokrývají delší dobu platnosti. U standardního certifikátu s ověřením domény je bezplatná možnost ve všech podstatných ohledech rovnocenná. Placená cesta je relevantnější u certifikátů s ověřením organizace nebo rozšířeným ověřením, které vyžadují ruční ověření identity.
Postup krok za krokem k získání a instalaci certifikátu najdete v článku jak získat certifikát SSL pro váš web.
Jak WEMASY řeší bezpečnostní certifikáty webu
Certifikát SSL se u webu na WEMASY aktivuje automaticky. Když se vytvoří web nebo se připojí vlastní doména, certifikát se vydá a nainstaluje bez jakéhokoli zásahu majitele webu. Není co kupovat, není co nastavovat a není žádný proces obnovy, který byste museli spravovat.
Všechny weby na WEMASY běží na HTTPS ve výchozím stavu od prvního dne. Varování o smíšeném obsahu nejsou problém, protože všechny zdroje poskytované přes platformu používají HTTPS. Přesměrování z HTTP na HTTPS jsou nastavena na úrovni platformy, takže návštěvníci vždy skončí na zabezpečené verzi webu bez ohledu na to, jak se k němu dostanou.
Co všechno je součástí, zjistíte v tvůrci webů WEMASY, nebo si projděte možnosti tarifů na stránce s cenami.
Často kladené otázky
Co je bezpečnostní certifikát webu?
Bezpečnostní certifikát webu je soubor nainstalovaný na webovém serveru, který dělá dvě věci: zamíchá data posílaná mezi prohlížečem návštěvníka a webem, aby je nešlo při přenosu přečíst, a dokazuje, že je web tím, za koho se vydává. Když je na místě platný certifikát, prohlížeče zobrazují v adresním řádku zámek a adresa webu začíná HTTPS. Je to totéž co certifikát SSL, certifikát TLS nebo certifikát HTTPS, jen popsané různými názvy. S tvůrcem webů WEMASY si to můžete nastavit přímo na svém webu.
Je bezpečnostní certifikát webu totéž co certifikát SSL?
Ano. Certifikát SSL, certifikát TLS, certifikát HTTPS a bezpečnostní certifikát webu označují totéž. SSL (Secure Sockets Layer) je starší název technologie. TLS (Transport Layer Security) je aktualizovaná verze, která ji nahradila. Pojem SSL se ujal, takže ho většina lidí a poskytovatelů stále používá, i když je současným standardem TLS. Ať už se nazývá jakkoli, samotný certifikát funguje stejně a plní stejnou úlohu.
Potřebuje můj web bezpečnostní certifikát?
Ano. Potřebuje ho každý veřejně dostupný web, nejen ty, které zpracovávají platby nebo citlivá data. Prohlížeče zobrazují na webech bez certifikátu varování „Nezabezpečeno", což snižuje důvěru návštěvníků a může lidi odradit od vyplnění formulářů nebo dalšího procházení. HTTPS je také potvrzený signál pro řazení, takže weby bez certifikátu jsou ve výsledcích vyhledávání v nevýhodě. Každý web, který sbírá informace od návštěvníků přes formuláře, přihlášení nebo komentáře, by měl mít certifikát jako minimum.
Jak poznám, že můj web má bezpečnostní certifikát?
Navštivte svůj web a podívejte se do adresního řádku. Pokud adresa začíná HTTPS a zobrazuje se ikona zámku, je platný certifikát na místě. Pokud adresa začíná prostým HTTP nebo prohlížeč zobrazuje štítek „Nezabezpečeno", certifikát buď chybí, nebo není správně nastaven. Kliknutí na zámek ukáže podrobnosti o certifikátu, včetně toho, kdo ho vydal a kdy vyprší.
Jak získám bezpečnostní certifikát webu?
Nejdřív zkontrolujte svůj tarif hostingu. Mnozí poskytovatelé hostingu a nástrojů pro tvorbu webů zahrnují certifikát automaticky. Pokud ho váš hosting zahrnuje, může být certifikát už nainstalován. Pokud ne, bezplatné certifikáty s ověřením domény nabízejí důvěryhodné certifikační autority a nastavit je lze za pár minut. Postup krok za krokem k získání a instalaci certifikátu najdete v článku jak získat certifikát SSL pro váš web.
Co se stane, když mi vyprší bezpečnostní certifikát webu?
Prohlížeče okamžitě zobrazí varování přes celou stránku, když certifikát webu vyprší. Návštěvníci uvidí zprávu, že spojení není soukromé, a většina z nich dál nepokračuje. Web je tak pro většinu návštěvníků prakticky nedostupný, dokud se certifikát neobnoví. Nastavení automatické obnovy tomu zcela předchází. Na spravovaných hostingových platformách se obnova řeší automaticky. Na serverech, které si spravujete sami, je nejspolehlivějším způsobem, jak zabránit nepozorovanému vypršení, nastavit automatickou obnovu hned při prvním nastavení certifikátu.